l'analisi

Cyber sicurezza, infrastrutture critiche nel mirino: come difenderle

Dalla sicurezza delle infrastrutture critiche – ferrovie, reti elettriche, tlc, grandi impianti industriali – dipende la sicurezza di un Paese. Ecco perché, nell’era digitale, occorre passare da un paradigma di protezione a uno di difesa, prevedendo strategie in grado di far fronte a minacce mutevoli e sempre più complesse

27 Nov 2019
Rocco Sicilia

Solution Architect and Cyber Security Analyst

infrastrutture-critiche

La sicurezza, sempre più cyber, delle infrastrutture critiche di un Paese è un tema reale, da affrontare su più livelli e che coinvolge il singolo cittadino quanto i vertici governativi, eppure è un tema poco discusso se non da chi si trova a dover gestire il problema. Probabilmente il fatto che non si siano verificati incidenti che, nel caso specifico, avrebbero dimensioni catastrofiche ha fatto sì che la questione sia rimasta un po’ sottotono e poco trattata sui media generalisti, dove tipicamente si parla dell’ultimo sensazionalistico “attacco informatico”.

Sistemi informatici e infrastrutture critiche

Come è ovvio, in nome della sacrosanta efficienza e dell’innovazione, i sistemi a supporto della gestione delle infrastrutture, fondamentali per il funzionamento ordinario e quotidiano di un paese industrializzato, sono informatizzati. Dal controllo del traffico ferroviario alle telecomunicazioni passando per i grandi impianti industriali, esistono interi macrosistemi ed infrastrutture il cui buon funzionamento è strettamente legato allo stato di “salute” dei sistemi informatici che li orchestrano e presidiano.

17 novembre, milano
Spalanca le porte all’innovazione digitale! Partecipa a MADE IN DIGItaly

In questi contesti un Security Incident avrebbe un impatto ben diverso rispetto a ciò che tipicamente leggiamo sui quotidiani quando la cronaca ci racconta di data breach ai danni di una qualsiasi azienda privata, anche di spicco. Sul fronte delle infrastrutture critiche l’impatto è sulla cittadinanza che, nella migliore delle ipotesi, percepirebbe dei disagi, ma se le cose vanno male il rischio è di generare impatti di proporzioni nazionali con disservizi su infrastrutture strategiche da cui dipendiamo, compresi servizi base come la distribuzione elettrica o le comunicazioni con tutto ciò che vi è dietro.

I motivi dietro a un attacco a infrastrutture critiche

Per quale motivo vi dovrebbe essere interesse a colpire un’infrastruttura critica?

Tralasciando i temi complessi e controversi relativi alle nuove forme di conflitto (Cyber Warfare) che richiederebbero un pezzo dedicato per essere analizzati, possiamo affermare che esiste un interesse economico nel condurre un attacco a questo tipo di target. Se una piccola azienda è disposta a pagare migliaia di euro per tornare in possesso dei propri dati criptati, quanto pensate sia disposto a pagare il management di una struttura produttiva o di un ente nazionale per tornare in operatività, qualora si trovassero in un situazione critica? Lo scenario cambia completamente, non si fa più il conto di quanto sarà economicamente oneroso il danno subito ed arrecato in termini di indennizzi, revisioni, ristrutturazioni (comunque doverose) per mettere in sicurezza il sistema e risarcire i propri clienti, il tema assume caratteristiche di urgenza massima e l’attenzione si sposta sul far in modo che l’incidente rientri il più rapidamente possibile.

In questo contesto delicato la criminalità organizzata ha visto nel mondo digitale un’ottima opportunità di business: le revenue legate al mondo del Cyber Crime hanno superato i 1.500 miliardi di dollari nel 2018 e sono ovviamente in crescita. I rapporti che periodicamente vengono presentati e discussi dai vari Osservatori mettono in evidenza come il crimine informatico stia orientando le proprie attenzioni verso specifici obiettivi.

In queste stime emergono dati interessanti che danno un’idea di come il fenomeno si stia muovendo in direzione dei Targeted Attack, ovvero in quella tipologia di attacchi dove il target – la vittima – viene accuratamente scelto in virtù dell’obiettivo in termini di profitto. L’interesse si spinge quindi sempre di più verso target che, in caso di Security Incident, hanno molto da perdere e con elevata capacità di spesa al fine di colpire là dove c’è sensibilità e disponibilità economica.

Il business dello spionaggio delle informazioni sensibili

In particolare circa il 40% di questo “mercato” è legato al tema delle informazioni sensibili e/o riservate, ovvero esiste un interesse economico nel sottrarre informazioni ad enti ed aziende per poi proporle, dietro compenso, a soggetti interessati. Il tema è, in parte, quello dello spionaggio (cyber) e del sabotaggio con scopi estorsivi. All’atto pratico il mondo del crimine organizzato assolda criminali informatici al fine di rubare informazioni sensibili che posso essere utilizzate per perpetrare altri reati ai danni dell’ente vittima. Il fine ultimo non è, di per sé, danneggiare l’ente ma avviare una contrattazione in cui il criminale informatico (o i mandanti) si propone di “risolvere” il problema in cambio di un corrispettivo economico.

Le infrastrutture critiche di un paese industrializzato rientrano in questa categoria di target, è quindi indispensabile presidiarle opportunamente sia dal punto di vista tecnologico che dal punto di vista strategico. Prendersi cura dei sistemi informatici è il requisito minimo per strutturare una strategia di gestione dei rischi cyber, ma non è assolutamente sufficiente. Su questo fronte è necessario mettere in campo skills e risorse verticali su temi come la Cyber Intelligence, è necessario comprendere il contesto in cui si opera, ciò che mi piace definire il “campo di battaglia”, ed è necessario essere consapevoli delle armi a disposizione del “nemico”.

Osservare i meccanismi che regolano questo “mercato”

Il salto culturale deve permetterci di passare da un paradigma di protezione, dove tipicamente ergiamo barriere secondo la nostra sensibilità, ad un paradigma di difesa dove costruiamo una strategia che possa far fronte a situazioni di crisi e che muti in virtù dello specifico contesto e della specifica minaccia. Ovviamente è necessario disporre delle informazioni utili a definire ed attuare una strategia, qualunque essa sia, e si tratta di evidenze “estraibili” da molteplici contesti: i dati prelevabili dai sistemi informatici concorrono sicuramente ad arricchire l’analisi, ma devono essere correlati ad altre informazioni non necessariamente tecniche e che toccano le sfere umane e dei rapporti sociali.

Personalmente ritengo che molto si possa apprendere osservando il fenomeno del Cyber Crime dall’interno, ovvero prendendo in considerazione ed analizzando i meccanismi che regolano questo “mercato” per imparare a riconoscerli o addirittura prevenirli.

Un approccio a 360° alla sicurezza informatica

Non possiamo pensare di affrontare questa sfida semplicemente acquisendo nuova tecnologia: dobbiamo costruire una strategia e far maturare skills specifiche, la tecnologia diventerà lo strumento utile alla strategia di Difesa che si vorrà attuare. Gli anti-malware sono indispensabili ma il modello con cui vengono migliorati, per quanto efficiente, rincorre le nuove minacce. Gli strumenti di identificazione delle minacce sono oggetti superbi, ma si possono aggirare semplicemente prendendo di mira le persone invece dei sistemi.

Il fronte della sicurezza informatica, in generale, non è solo tecnologico, parimenti la strategia di Difesa di un ente strategico deve essere trasversale e a tutti i livelli: parte dallo Smartphone del CEO e arriva a considerare i nuovi inserimenti in stage presso gli uffici amministrativi, le procedure che compongono una strategia di Difesa devono coinvolgere tutto e tutti.

Un approccio a 360° alla sicurezza informatica è utile a prescindere dal contesto di riferimento, ma è evidente che più le dimensioni del target crescono più gli impatti di un Security Incident diventano importanti. Nelle grandi imprese si parla di salvaguardare il business, in contesto di infrastrutture critiche si parla di salvaguardare un Paese.

E’ complesso. E’ energivoro. E’ indispensabile.

@RIPRODUZIONE RISERVATA

Speciale PNRR

Tutti
Incentivi
PA
Sostemibilità
Analisi
Formazione
Salute digitale
Sicurezza
Sostenibilità
Digital Economy
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

Articoli correlati